Ваши вопросы по уязвимостям.

17.09.2009, 21:23

L I G A

Постоянный

Регистрация: 27.07.2008

Сообщений: 614

С нами: 9362947

Репутация: 1196

24free
есть много причин,мб прав нет.
знаешь так делают:

Код:

index.php: <?php define('inside', True);
library.php: <?php if (! defined('inside')) die('Access denied');

что бы не вызывались файлы напрямую.

𝕏 Twitter Reddit Telegram Копировать ссылку

18.09.2009, 15:51

~~Велемир~~

Banned

Регистрация: 19.06.2006

Сообщений: 1,239

С нами: 10470131

Репутация: 142

_http://www.xakep.ru/post/49508/default.asp

В самом начале про протокол DATA.У кого-нибудь это работает? У меня даже такой директивы в php.ini allow_url_include нету.После того,как прописал,тоже ничего не изменилось.

18.09.2009, 16:30

BlackSun

Познавший АНТИЧАТ

Регистрация: 01.04.2007

Сообщений: 1,268

С нами: 10058786

Репутация: 4589

Цитата:

Сообщение от Велемир

Цитата:

(php>=5.2.0 - именно с этой версии включена поддержка data и других протоколов)

...

18.09.2009, 16:33

.Slip

Leaders of Antichat - Level 4

Регистрация: 16.01.2006

Сообщений: 1,966

С нами: 10692266

Репутация: 3486

Цитата:

Сообщение от BlackSun

...

Да ему поxуй вообще, он по 10% читает.

__________________
..

19.09.2009, 10:57

Train

Новичок

Регистрация: 09.01.2009

Сообщений: 21

С нами: 9124815

Репутация: 10

Здравствуйте уважаемые Гуру, у меня возник один сложный для меня, но возможно вполне простой для вас вопрос

Цитата:

http://site.ru/news/19/08/2009/603-1/

Гребаные ЧПУ, ненавижу их, но суть не в этом. С -1 все правильно работает, т.е. инъекция есть. если поставить /news/19/08/2009/603+--/ ругается на + страшными словами(если без + то все ровно):
Incorrect syntax near '+'.
Description: An unhandled exception occurred during the execution of the current web request. Please review the stack trace for more information about the error and where it originated in the code.

Exception Details: System.Data.SqlClient.SqlException: Incorrect syntax near '+'.
Source Error:

Line 144: SqlDataAdapter adp = new SqlDataAdapter(q, myConn);
Line 145: dt = new DataTable();
Line 146: adp.Fill(dt);
Line 147: myConn.Close();
Line 148: break;
Version Information: Microsoft .NET Framework Version:2.0.50727.3082; ASP.NET Version:2.0.50727.3082
С MSsql я, скажем так, знаком только отдаленно(кстати не факт что mssql), но мануалы читал, однако что-то в голову никаких мыслей не пришло, единственное что опытным путем удалось установить что этот параметр в запросе самый последний после 603 идет ;
Кстати если вместо + в предыдущем запросе поставить пробел ругается абсолютно точно также. Если /news/19/08/2009/603;--/ то ругается Incorrect syntax near 'b'. Нужен ваш совет что делать дальше, какие конструкции попробовать, устроил бы даже посимвольный перебор содержимого БД.